FAQ zum BSI C5 Testat

Das BSI-C5-Testat (Cloud Computing Compliance Controls Catalogue) definiert Mindestanforderungen an die Informationssicherheit von Cloud-Diensten nach Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI). Für Unternehmen aus regulierten Branchen wie KRITIS, aber auch für immer mehr mittelständische Unternehmen, ist das Testat ein Schlüsselnachweis gegenüber Kunden, Partnern und Aufsichtsbehörden, dass die Cloud-Infrastruktur ein anerkannt hohes Sicherheitsniveau gewährleistet.

• Transparenz und Nachvollziehbarkeit: 
  Das Testat ermöglicht Cloud-Kunden, die Sicherheitsmaßnahmen eines Anbieters detailliert zu verstehen und zu bewerten. Der Prüfbericht ist speziell für Kunden aufbereitet, sodass sie nachvollziehen können, wie die Sicherheitsanforderungen umgesetzt werden.
   
• Erfüllung von Compliance-Anforderungen: 
  Unternehmen können durch die Nutzung von C5-zertifizierten Cloud-Diensten leichter gesetzliche und regulatorische Vorgaben erfüllen, insbesondere in Branchen mit sehr sensiblen Daten wie dem Gesundheitswesen.
   
• Risikominimierung: 
  Das Testat hilft, Gefahren wie Datenverlust, Datenschutzverletzungen und andere Sicherheitsvorfälle zu reduzieren, da es die erfolgreiche Implementierung einer systematisch aufgebauten und geprüften Informationssicherheit bestätigt.
   
• Erleichterung bei Vertragsverhandlungen: 
  Durch die transparente Darstellung der Sicherheitsmaßnahmen und Rahmenbedingungen wirkt das C5-Testat bei Vertragsverhandlungen als Katalysator, da viele sicherheitsrelevante Fragen so bereits im Vorfeld geklärt wurden und ein Nachweis direkt vorliegt.
   
• Hoher Aussagekraft: 
  C5-Konformität bedeutet, dass der Cloud-Anbieter nach ISO/IEC 27001 zertifiziert ist und somit umfangreiche Maßnahmen zur Informationssicherheit bereits umsetzt. Der C5-Katalog fordert in 17 Bereichen weitere 121 Kriterien einzuhalten. Die Testat-Prüfung erfolgt dabei  nach internationalen Standards (z. B. ISAE 3000) durch unabhängige Wirtschaftsprüfer, wodurch die Qualität und Vergleichbarkeit der Ergebnisse sicherstellt sind. Das Testat vom Typ 2 belegt, dass die zugesagten Maßnahmen im Prüfungszeitraum dauerhaft wirksam implementiert waren.

• Unternehmen mit sensiblen Daten (Sozialdaten / Gesundheitsdaten): 
  Branchen wie Finanzdienstleistungen, Gesundheitswesen oder Betreiber kritischer Infrastrukturen (KRITIS) vereinfachen sich ihre regulatorischen Nachweispflichten, wenn deren Auftragsdatenverarbeiter nach BSI C5 testiert ist.
   
• Unternehmen kritischer Infrastrukturen:
  Das C5-Testat hilft KRITIS-Betreibern, gesetzliche Vorgaben zu erfüllen und die Verfügbarkeit, Integrität sowie Vertraulichkeit ihrer IT-Systeme gegenüber der Aufsichtsbehörden zu belegen, um Versorgungsengpässe und Ausfälle zu vermeiden. Das C5-Testat prüft genau diese Anforderungen und stellt sicher, dass Cloud-Anbieter ein effektives Sicherheitsmanagementsystem betreiben, das diesen Schutzbedarf erfüllt.
   
• Öffentliche Behörden und Verwaltungen: 
  Diese sind gemäß § 8 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) verpflichtet, bei der Nutzung von Cloud-Diensten mindestens ein C5-Typ-1-Testat als Nachweis der Informationssicherheit zu verlangen, wobei ein Typ-2-Testat bevorzugt wird.
   
• Unternehmen mit Compliance-Anforderungen: 
  Das Testat erleichtert die Einhaltung von Datenschutzgesetzen (z.B. DSGVO) und regulatorischen Vorgaben, da es Transparenz und Nachweise zur Informationssicherheit bietet.
   
• Cloud-Nutzer mit hohem Sicherheitsbedarf: 
  Unternehmen, die ihre Daten in der Cloud speichern oder verarbeiten, profitieren vom Nachweis durch das C5-Testat, dass der Anbieter tatsächlich moderne Verschlüsselung, Zugriffskontrollen, Incident-Response-Mechanismen und ein umfassendes Risikomanagement implementiert hat.
   
• Kunden mit Audit-Anforderungen: 
  Das C5-Testat ermöglicht es Cloud-Kunden, die Sicherheitsmaßnahmen des Anbieters schnell und nachvollziehbar zu prüfen, was bei Vertragsabschlüssen und Audits ein großer Vorteil ist.
   
• Für andere Branchen gibt es zwar derzeit keine generelle gesetzliche Pflicht zum Wechsel zu einem C5-zertifizierten Anbieter, jedoch wird das C5-Testat als anerkannter Standard für Sicherheit und Compliance im Cloud-Umfeld immer wichtiger.

Ein Wechsel ist erforderlich, wenn:

• Gesetzliche oder branchenspezifische Vorschriften (z. B. KRITIS, TISAX) explizit ein BSI-C5-Testat fordern.
• Ihre Kunden das BSI-C5-Testat in ihren Verträgen oder Ausschreibungen verlangen.
• Die eigenen Compliance-Vorgaben angepasst wurden und ein BSI-C5-Testat als Mindeststandard definiert ist.

Prüfen Sie regelmäßig die vertraglichen und regulatorischen Anforderungen – insbesondere bei Neuverträgen, Audits oder Änderung der Gesetzeslage.

Unternehmen riskieren:

• Vertragsstrafen oder Haftungsansprüche durch Kunden
• Verlust von Aufträgen und Ausschluss bei Ausschreibungen
• Reputationsverlust und Vertrauensverlust bei Kunden
• Sanktionen durch Aufsichtsbehörden bis hin zu Bußgeldern

Wer Compliance-Anforderungen ignoriert, gefährdet die Zukunftsfähigkeit seines Unternehmens.